0

Nas minhas aplicações estava deixa o ID da entidade dentro HTML sendo um objeto oculto. Exemplo:

@Html.HiddenFor(m => m.EntidadeID)

Mas, identifiquei que posso editar o HTML facilmente e no POST posso receber um valor inválido.

Antes a Action do controller estava assim:

[HttpPost]
[Authorize]
public ActionResult Detalhar(Entidade model)
    using (var db = new Conexao())
    {
        var registro = db.Entidade.Find(id);
        // continuação do código

Se pegar o ID pela URL, identifiquei que mesmo alterado antes do POST o valor enviado não era o alterado e sim o original.

Alterei a Action para ficar assim:

[HttpPost]
[Authorize]
public ActionResult Detalhar(int id, Entidade model)
{
    using (var db = new Conexao())
    {
        var registro = db.Entidade.Find(id);
        // continuação do código

Porém identifiquei outra situação, que ao utilizar @using (Html.BeginForm()), é montado a <form action="/Entidade/Detalhar/5" method="post"> e o usuário pode alterar o valor de 5 para qualquer valor que ele deseja, gerando assim uma alteração de dados inválidos.

Dúvida

Pegar o ID da entidade pela "URL" é mais seguro? Ou quais seriam as alternativas para diminuir a tentativas de fraudes nos dados.

Dúvida atualizada

Se o usuário pedir o ID 5, ficara http://site/Registro/Detalhar/5, se ele trocar o ID para 10 antes de fazer o POST, eu vi que o controller entende que o ID é 5, porém, existe alguma forma de burlar o número e tentar trocar de 5 para 10, e o controller receber 10? Parecido que conseguimos fazer com o HTML.

5
  • porque não usar o TempData ? 14/02/2018 às 17:28
  • Não deveria haver "fraude de dados" em um método que tem como objetivo de apenas detalhar um registro. Você diz algo sobre eu passar um id de outro registro que não deveria ter acesso? 14/02/2018 às 18:07
  • 1
    Se você quer dificultar a consulta indiscriminada ao detalhamento de produtos, ao invés de passar o id, você poderia atribuir um código alfa-numérico como uma Guid para fazer as consultas. Assim o usuário teria que "adivinhar" o código ao invés de ficar digitando os sequenciais. 14/02/2018 às 18:17
  • @LeandroAngelo eu já tenho no uma validação se o usuário pode ou não acessar o registro. Mas no HTML estava colocando @Html.HiddenFor(m => m.EntidadeID) e este elemento HTML eu consigo manipula no F12 do Chrome. A minha dúvida: existe alguma maneira do usuário trocar o ID na url e o controller entender o novo valor. Atualizei a pergunta.
    – Tiedt Tech
    15/02/2018 às 10:27
  • 1
    Se você estiver enviando com um POST, o usuário pode alterar o que quiser na url que não vai ser enviado porque os dados que serão submetidos são apenas que estão dentro de um formulário, para url serve apenas para buscar o registro. Se ele trocar o valor na url e buscar com esse novo valor, ai sim, pode carregar informações de outro registro em tela, mas como você já informou que tem validação de acesso, então não tem com o que se preocupar. De qualquer modo, criptografar o id esconde na url e em seu form, logo, antes de manter descriptografa e realiza as validações.
    – L. Jhon
    15/02/2018 às 11:13

1 Resposta 1

0

Se o usuário pedir o ID 5, ficara http://site/Registro/Detalhar/5, se ele trocar o ID para 10 antes de fazer o POST, eu vi que o controller entende que o ID é 5.

Sim, ele continua sendo 5 porque o valor passado na rota é utilizado no Model que é carregado antes mesmo do HTML, que por sua vez, é populado no HiddenFor.

Porém, existe alguma forma de burlar o número e tentar trocar de 5 para 10, e o controller receber 10?

Alterando o valor na rota da URL não, teria que recarregar a página para que o novo ID da Entidade fosse carregado no HidderFor. Mas, é possível burlar isto simulando um script AJAX/POST e enviando quaisquer valores para sua aplicação. Uma das formas de bloquear este tipo de envio é configurando corretamente o Cross Domain Requests. Há uma série de configurações de segurança que você pode aplicar. Dê uma olhada aqui neste site.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .